Capital Embedded AR Classic от Siemens читает данные за границами сетевого пакета. Программное обеспечение не сверяет размер входных данных с размером буфера перед обращением к памяти. Атакующий может получить участок памяти за пределами пакета либо вызвать сбой в работе продукта. Уязвимость затрагивает две ветки линейки: Capital Embedded AR Classic 431-422 и Capital Embedded AR Classic R20-11.
Уязвимость CVE-2026-89208 в разборе сетевых пакетов
Пакет, пришедший на устройство, содержит служебные поля с длиной и смещениями. Capital Embedded AR Classic берёт эти значения при чтении данных и не проверяет, укладываются ли они в границы принятого пакета. Поля длины контролирует отправитель, поэтому проверка границ обязательна при разборе. Программа считывает больше байтов, чем есть в пакете, и захватывает соседние области памяти. Уязвимость носит идентификатор CVE-2026-89208 и оценку 5.3 из 10, уровень Medium.
Шкала CVSS измеряет серьёзность уязвимости по десятибалльной системе. Вендор относит ошибку к классу CWE-125, чтение за границами буфера. Речь об ошибке работы с памятью: программа обращается к ячейкам, которые не принадлежат обрабатываемому пакету. По метрикам страдает только конфиденциальность, целостность и доступность остаются вне влияния.
Атака идёт по сети. Учётные данные не нужны, участие пользователя не требуется, сложность эксплуатации низкая. В описании уязвимости Siemens называет среди последствий отказ в обслуживании, нестабильность и аномальное поведение продукта. Формальные метрики при этом не показывают влияния на доступность, хотя отказ в обслуживании в описании назван.
Для ветки R20-11 вендор выпустил исправление. Обновление до версии V2303 или более поздней закрывает уязвимость. V2303 - версия продукта, её не нужно путать с номером редакции уведомления. Для 431-422 исправления нет: в уведомлении указано, что исправление не планируется. Общая часть документа при этом говорит о подготовке новых исправлений, поэтому сроки для этой ветки остаются неопределёнными.
Пока исправления нет, вендор предлагает сегментировать сеть и разместить электронные блоки управления за правильно настроенными шлюзами и межсетевыми экранами. ECU, электронный блок управления, - контроллер в составе устройства или машины. Такая мера сокращает число узлов, с которых возможна атака. Дополнительно Siemens советует ограничить сетевой доступ к устройствам и настраивать окружение по своим руководствам по промышленной безопасности.
Сведений об эксплуатации уязвимости в реальных атаках в уведомлении нет. Публикация документа означает раскрытие технических деталей, а не подтверждённое использование в атаках. Уязвимость нашла Siemens ProductCERT и передала данные в CISA.
CISA переиздала уведомление SSA-055299 на своём сайте ради расширения его видимости. Первая редакция вышла 13 октября 2026 года, вторая - 22 октября 2026 года. CISA советует сократить сетевое присутствие устройств и разместить сети управления за межсетевыми экранами, отделив их от корпоративной сети. Для удалённого доступа предлагается VPN, при этом защищённость такого доступа не выше защищённости подключённых устройств.
Среди отраслей применения в уведомлении названы критически важное производство, транспортные системы, энергетика, здравоохранение, финансовый сектор и государственные объекты. Продукт применяется по всему миру, штаб-квартира компании находится в Германии.
Ветка 431-422 остаётся без исправления, поэтому её защита сводится к изоляции сети и контролю доступа. Иных обходных мер, кроме сегментации, вендор для неё не приводит. Ветку R20-11 закрывает обновление до V2303, а статус 431-422 отслеживается по уведомлению SSA-055299.
Ссылки
